Sprockets 中存在資訊洩漏弱點。受影響的版本：4.0.0.beta7 和更舊版本、3.7.1 和更舊版本、2.12.4 和更舊版本。

在開發環境中使用 Sprockets 伺服器時，利用特製的要求可以存取檔案系統上應用程式根目錄之外的檔案。

建議所有執行受影響版本的使用者立即升級，或採用任一因應措施。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2018:2245 公告中提及的弱點影響。

  - rubygem-sprockets：forbidden_request?() 中的路徑遊走可允許遠端攻擊者讀取任意檔案 (CVE-2018-3760)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2018:2244 公告中提及的多個弱點影響。

    Sprockets 是用於編譯 Web 資產並提供其服務的 Ruby 程式庫。其具有適用於 JavaScript 和 CSS 資產的宣告式相依性管理，以及功能強大的前置處理器管線，可允許以諸如 CoffeeScript、Sass 和 SCSS 之類的語言寫入資產。

    安全性修正：

    * rubygem-sprockets：forbidden_request?() 中的路徑遊走可允許遠端攻擊者讀取任意檔案 (CVE-2018-3760)

    如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Orange Tsai 發現在 ruby-sprockets (一種 Rack 型資產封裝系統) 中發生一個路徑遊走缺陷。在生產環境中使用 Sprockets 伺服器時，遠端攻擊者可利用此缺陷，透過特製的要求讀取應用程式根目錄之外的任意檔案。

遠端 Redhat Enterprise Linux 7 主機已安裝受到多個弱點影響的套件，如 RHSA-2018:2561 公告中所提及。

    Red Hat CloudForms Management Engine 提供因應管理虛擬環境挑戰所需的深入見解、控制機制及自動化服務。CloudForms Management Engine 建置在 Ruby on Rails 上，後者是一個適用於 Web 應用程式開發的模型檢視控制器 (MVC) 架構。Action Pack 可實作控制器和檢視元件。

    安全性修正：

    * cfme：dRuby 中的不當存取控制允許本機使用者以超級使用者身分執行任意命令 (CVE-2018-10905)

    * rubygem-sprockets：forbidden_request?() 中的路徑遊走可允許遠端攻擊者讀取任意檔案 (CVE-2018-3760)

    如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    Red Hat 感謝 Stephen Gappinger (美國運通) 報告 CVE-2018-10905。

    其他變更：

    此更新可修正多個錯誤，並新增數個增強功能。這些變更的相關文件可透過「版本資訊」文件取得。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Sprockets 中有一個資訊洩漏弱點。受影響的版本4.0.0.beta7 和更低版本、 3.7.1 和更低版本、 2.12.4 和更低版本。在生產環境中使用 Sprockets 伺服器時攻擊者可利用特製的要求來存取位於應用程式 root 目錄外的檔案系統上的檔案。所有執行受影響版本的使用者皆應立即升級或採用其中一個因應措施。 (CVE-2018-3760)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2018:2745 公告中提及的多個弱點影響。

  - rubygem-sprockets：forbidden_request?() 中的路徑遊走可允許遠端攻擊者讀取任意檔案 (CVE-2018-3760)

  - cfme：dRuby 中的不當存取控制允許本機使用者以超級使用者身分執行任意命令 (CVE-2018-10905)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112718	Rails Sprockets 2.x < 2.12.5 / 3.x < 3.7.2 / 4.x < 4.0.0.beta8 路徑遊走	Web App Scanning	Component Vulnerability	2021/3/12	2021/9/7	high
194029	RHEL 6 / 7：rh-ror50-rubygem-sprockets (RHSA-2018:2245)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
210326	RHEL 6 / 7：rh-ror42-rubygem-sprockets (RHSA-2018:2244)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/5	high
110968	Debian DSA-4242-1：ruby-sprockets - 安全性更新	Nessus	Debian Local Security Checks	2018/7/10	2024/9/5	high
233185	RHEL 7：CloudForms 4.6.4 (RHSA-2018:2561)	Nessus	Red Hat Local Security Checks	2025/3/21	2025/3/21	high
251714	Linux Distros 未修補的弱點：CVE-2018-3760	Nessus	Misc.	2025/8/19	2025/8/19	high
194089	RHEL 7：CloudForms 4.5.5 (RHSA-2018:2745)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high